Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Опубликована

CVE-2026-22849

Saleor lacks proper HTML sanitization in rich text fields

Публикация: 22.01.2026·Обновлена: 22.01.2026, 19:50·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Saleor is an e-commerce platform. Starting in version 3.0.0 and prior to versions 3.20.108, 3.21.43, and 3.22.27, Saleor was allowing users to modify rich text fields with HTML without running any backend HTML cleaners thus allowing malicious actors to perform stored XSS attacks on dashboards and storefronts. Malicious staff members could craft script injections to target other staff members, possibly stealing their access and/or refresh tokens. This issue has been patched in versions 3.22.27, 3.21.43, and 3.20.108. In case of inability to upgrade straight away, a possible workaround is to use client-side cleaner.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

saleor / saleor 

{
  "status": "affected",
  "version": ">= 3.2.0, < 3.22.27"
}
{
  "status": "affected",
  "version": ">= 3.1.0, < 3.21.43"
}
{
  "status": "affected",
  "version": ">= 3.0.0, < 3.20.108"
}

CVSS: оценки и векторы

CVSS 4.0 · cve7.2
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакинужны условия
PR · Привилегиивысокие
UI · Участие пользователяпассивное
VC · Конфиденциальность уязвимой системывысокое
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет

Классы CWE

CWE-83 · Неправильная нейтрализация сценария в атрибутах на веб-странице

Источники и ссылки

Материал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · docs.saleor.io · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:11:54.320762+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T17:49:49.464399+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T17:49:49.464399+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T17:49:49.464399+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:11:54.320762+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T17:49:49.464399+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены03.11.2026, 00:11
  2. Данные обновлены02.11.2026, 00:10
  3. Данные обновлены31.10.2026, 11:57
  4. Данные обновлены29.10.2026, 12:17
  5. Опубликована28.10.2026, 20:49

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-48744
Saleor: Anonymous users can modify channel settings via `channelUpdate` due to `all([])` bypass in permission check
saleor / saleor
Средний6.5
0,38 %
18.08.2026
CVE-2026-44472
Saleor: Account pre-hijacking vulnerability due to unverified anonymous order merge
saleor / saleor
Высокий8.1
0,63 %
18.08.2026
CVE-2023-26051
Saleor has Staff-Authenticated Error Message Information Disclosure Vulnerability via Python Exceptions
saleor
Информационный—
0,82 %
07.07.2026
CVE-2024-29888
Saleor vulnerable to customers addresses leak when using Warehouse as a `Pickup: Local stock only` delivery method
saleor / saleor · saleor
Средний4.2
0,53 %
Патч
27.03.2024
CVE-2023-26052
Saleor Unauthenticated Information Disclosure Vulnerability via Python Exceptions
saleor
Информационный—
0,76 %
03.03.2023
CVE-2026-22849: Saleor lacks proper HTML sanitization in rich text fields · CVE Радар